システム統合と運用管理に配慮したサーバの仮想化と統合認証系を有する計算機システム
6
0
0
全文
(2) Vol.2010-IOT-10 No.4 2010/7/16. 情報処理学会研究報告 IPSJ SIG Technical Report. の変化や学内での ICT を使ったサービスの増大に適時に対応できる仕組みも望まれる．. ていたが，やはりサーバ側での一括対応への期待も強い．そのような個人毎にするべき設定. その為には，出来る限りハードウェアの種類を絞り込み，仮想化技術などを用いて，柔軟. を，管理者を介在させて実施することは，手間が膨大となるため，ツールとして提供する必. な再編体制がとれる構成が望ましい．. 要がある．. 2.2 クライアント PC の運用管理コストの削減. そのような，各種フィルタ処理に対して，個人毎の制御が可能な電子メールシステムが望. 本学は，学生数 4500 人程度の理系単科大学であるが，以前のシステムでの端末数は管理. まれる．. 用を含めて 165 台であり，非常に少ない状態であった．また，演習に利用できる部屋は，端. 2.4 統合認証システムの導入. 末パソコンが 70 台の部屋と 41 台の部屋の合計 2 つしかなく，課程によっては導入時教育. さまざまな情報の流通を，ネットワークを介して実施できるようになってきており，とり. を二回に分けて実施しなければならない場合も発生していた．学内に働きかけることによ. わけ Web を用いたシステムは非常に多くなってきている．本学でも，財務会計システムや. り，部屋の床面積の追加措置を得ることができたが，管理するスタッフの人数は微減となっ. 学務履修登録システム，シラバスシステムや事務情報ポータルなど，教育研究だけでなく事. てしまった．その為，端末パソコン数を単純に増加させても，定常的な更新作業などの管理. 務システムも Web 化が進んでいる．これらのシステムへのアクセスは，当然ながら利用者. の手間が削減できる仕組みであることが必須となる．. 認証が必須であるが，それぞれのシステムが，導入時期も異なり，ばらばらの認証情報を有. また，以前のシステムでは，端末パソコンを収容するハブは，非インテリジェント型のハ. している状況である．また，本センターの本務は教育研究に関わるものとされており，事務. ブであったため，ネットワーク障害の検出に問題があった．特に，OS イメージを更新する. の情報化は別組織 (情報課) が掌握していたため，統一がなされておらず，アカウントも教. 際に，演習室のパソコンに Multicast などで配信を行うと一部のパソコンで更新に失敗する. 員と学生はセンターで管理していたが，職員は別となっていた．さらに，教員や学生のアカ. といった，ネットワークに起因すると思われるトラブルも発生し，少ないスタッフでの運用. ウント管理も，元となるデータは総務課人事係や学務課が持っており，データのやりとりに. に不安があった．従って，ネットワーク装置の遠隔管理機能などを用いてできるだけ現地に. 手間隙がかかっていた．. 行かずに問題判別できる機構が望まれる．. そこで，アカウント情報についてはこの垣根を取り払い，本センター側で全学規模の統合. さらに，アプリケーションのライセンス料も懸念事項となる．以前のシステムでは，ライ. 認証システムを導入し，すべての構成員を登録可能なシステムとすることとした．その為に. センスサーバによる管理ができるアプリケーションはそれを積極的に採用することにより，. は，必要な属性を持つアカウントを切り出して提供できる仕組みや，Web システム間での. 演習室 1 つ分のライセンスを確保するだけで演習から自習までの利用が可能であったが，そ. シングルサインオン (SSO) が可能となる仕組みが求められる．. うではないアプリケーションは，利用できる端末パソコンの場所が限定されたり，必要数以. さらに，広範囲のシステムで利用可能なアカウントになれば，そのアカウントの重要性は. 上のライセンスを確保する必要があった．このようなアプリケーションを，必要最低限のラ. 飛躍的に高まる．その為の利用者教育の充実も必須な要求となる．. イセンス数で運用管理できる仕組みも望まれる．. 3. システムの構成. 2.3 電子メールシステムの増強. 3.1 負荷分散+仮想化システムの活用. 電子メールは，非常に手軽なプッシュ型の情報伝達手段である．しかしながら，非常に多く の迷惑メールが流通しており，その対応が急務となっている．以前のシステムでは，Greet2). Pause や Envelope の DNS 解決確認といった機械的に実行可能な迷惑メール対策. 図 1 は，新しいシステムのサーバシステム群の概要である．サーバはすべて VMware. は施し. Infrastructure 上で仮想化されており，さらにメールや DNS などのサービス毎に別々の物. ていたが，それでもかなりの数の迷惑メールが流入してしまっている．また，SpamAssassin. 理サーバに跨った複数のゲスト OS による冗長化構成となっている．物理サーバのサイジン. のように電子メールの中身にまで踏み込むタイプの迷惑メール対策システムは，プライバ. グとしては，センターとして提供するサービスについては，1 つの論理サーバに 64bit CPU. シーの観点からも，それぞれ個人の判断を重視するべきであり，さらに誤判定に対する救済. を 2 コア以上と 4Gbyte 以上のメモリを割り当てられることを仕様書でうたい，Quad Core. 手段を設けておく必要がある．従来は，Thunderbird などの MUA での個別対策を依頼し. の Intel 社 Xeon X5570 を 2 つ搭載した物理サーバにメインメモリを 32GByte 搭載したも. 2. c 2010 Information Processing Society of Japan.
(3) Vol.2010-IOT-10 No.4 2010/7/16. 情報処理学会研究報告 IPSJ SIG Technical Report 表1 オフィススイート CAD 図画処理 数式処理 ウィルス対策 データ解析 開発環境 文書処理 端末エミュレータ Web ブラウザ メーラ PDF メディアプレイヤ. 主要アプリケーション. Microsoft Office 2007 Professional , OpenOffice.org 3.2 Pro/ENGINEERING Adobe Illustrator CS2 , Adobe Photoshop Elements 7 Mathematica Symmantec Protection Suite Enterprise gnuplot, Octave, SciLab Eclipse, Java6 SDK 日本語 pLaTeX putty Internet Explorer 7, Firefox3 Thunderbird3 Adobe Reader, PrimoPDF, PDFCreator Windows Media Player, Adobe Flash Player, Real Player, Quick Time, iTunes. 成した約 10TByte の領域とし，SATA HDD は RAID6 で構成して DDR (Dynamic Data. Replication) 機能用の領域とすることにより，ランダムアクセスの高性能化とサーバフリー バックアップが可能となっている． これらの仕組みにより，ゲスト OS 単位でのメンテナンスによるサービスの中断を最小限 図 1 システム構成概略図. にすることが可能となり，また，物理サーバ自体の障害に対しても，他の物理サーバ上のゲ スト OS がバックアップすることができ， 場合によっては別の物理サーバ上でゲスト OS. のを合計 12 台で構成している． サーバ OS としては，基本的に Novell 社の SUSE Linux Enterprise Server. 6). を再稼働させることも可能となる．. を採用し. た．これは，SUSE Linux が，ライセンス (サポート) 体制として，物理サーバ 1 台あたり. さらに，運用中にサービスの追加が必要になった場合でも，仮想化技術を用いているの. で規定されておりゲスト OS の数に依存しないため，仮想化環境で多数のゲスト OS を稼動. で，物理サーバの数に大きく制限されることなく，リソースの割当の見直しをするだけで追. させる場合に好都合であったからである．ただし，稼動させるサービスの都合上，Windows. 加が容易となる．. 3.2 ネットワークブートとネットワーク装置. Server や Red Hat Enterprise Linux Server も導入している． また，複数のゲスト OS 上で稼動するサービスは，上位に負荷分散冗長化装置として A10. 端末パソコンは，すべて共通仕様とし，Intel-VT に対応した Core2Duo E8400 (3GHz). Networks 社の AX2200 を経由させることで，あるゲスト OS が停止してもサービスを継続. と 4GByte のメモリ，80GByte の HDD を持つ機種で統一した上で，Windows Vista (SP2). できるようになっている．AX2200 自体も二重化しており，サービスの停止時間の極小化を. Bussiness. はかっている．. システム上で稼動させている．さらに，ReadCache8) と呼ばれる仕組みを併せて採用する. ?1. を Citrix Provisioning Server (旧 Ardence)7) と呼ばれるネットワークブート. さらに，すべての物理サーバは，異なる FC スイッチを経由する複数のパスで iStorage. ことにより，ローカルディスクをキャッシュとして利用し，ネットワークやブートサーバへ. D8 に Fibre Channel で接続されており，ゲスト OS をどの物理サーバ上で動かすことも. の負荷を軽減するようにしている．表 1 は，導入している主要アプリケーションのリストで. 可能としている．iStorage D8 は，300GByte の SAS HDD を 80 個と 1TByte の SATA. HDD を 10 個を装備している．この HDD 群を，常用領域は SAS HDD を RAID1+0 で構. ?1 調達時期が 2009 年 10 月落札というタイミングであったため，Windows7 はぎりぎり間に合わなかった．. 3. c 2010 Information Processing Society of Japan.
(4) Vol.2010-IOT-10 No.4 2010/7/16. 情報処理学会研究報告 IPSJ SIG Technical Report. 条件であればアカウントを発行するのかといったポリシーも明確化されていなかったので， その整理を実施した上で，各課が掌握している「人」に対して責任を持って管理できる機能 を持たせた． また，以前のシステムでは，教員と学生のみを全員登録し，それ以外については， 「研究 目的利用者」として随時登録としていたが，一部の事務職員を登録していたり，来訪者など の一時的にしか利用しない利用者など，多様な利用者を登録する必要が多くなってきた．さ らに，全学生のアカウントを管理している唯一のデータベースとなっていたので，履修登録 システムなどへの活用が期待されていた． そこで，教職員と学生のすべての構成員を登録したデータベースとして統合認証システ ムを構築し，学内の必要な箇所に，必要な属性のアカウントのみ提供できるようにした (図. 2)．また，LDAP, RADIUS, Windows Active Directory の認証サービスも提供している． これにより，学内のすべての構成員を電子的に認証できる基盤となることができた．. 3.4 初期教育と利用サービスの選択 今回のシステムでは，利用者は，本センターのアカウントを保有すれば，Windows パソ 図2. コン，e-Learning システム，電子メール，オンデマンド印刷，情報コンセント，遠隔計算. 認証システムの考え方. サービス，リモートアクセス，が利用可能となる．アカウントの配布をスムースにする為 ある．. に，新規の利用者の情報が入手できたタイミングですべてのアカウントを作成しシステムに. また，OpenSUSE Linux 11.1 をディスクレス稼動できる仕組みも準備しており，デュア 3). ルブートとしている．このディスクレスシステムは，文献. 登録している．しかしながら，すべての利用者がアカウントを受領してから，すぐに使用. を参考として構築している．. するとは限らないし，すべてのサービスを使うとも限らない．さらに，通常，大学組織とし. 端末パソコンは，情報科学センター演習室 (70 台)，情報科学センター自習室 (25 台)，5. て利用規程などを提供しており，利用者にはそれに同意させてから使用させるべきではある. 号館情報科学演習室 (71 台)，図書館 1F (24 台)，図書館 3F (10 台)，就職資料室 (5 台)，. が，単純に規程の文書を一緒に配布するだけでは実効性に欠ける．. 学務課ロビー (5 台)，管理室 (6 台) と 8 箇所に分散配置している．これらのネットワーク 接続については，昨年度に導入した本学情報ネットワークインフラである KITnet4. 4). そこで，本システムでは配布時に使用できるサービスは最低限とし，その後 e-Learning. の装. システムでアカウントの利用方法に関するコンテンツを参照した上でオンラインテストを. 置に直収することを基本とした．ただし，部局スイッチから離れている 5 号館の演習室のみ. 受講させて，合格した場合にのみ，他の各種サービスを有効化できる，という仕組みを導入. は，4 本の 1000baseT をリンクアグリゲーションした 48 ポートのマネジメント機能付きス. した (図 3)．オンラインテストは，本学で以前から利用している Moodle5) を用い，特定の. イッチ (2 台) を経由して収容している．特に今回のシステムではネットワークブートを採. コース内の小テストへの合格をもって判定するようになっている．これにより，オンライン. 用しているので，端末毎の稼動状況やリンクの状態について統計情報の入手や遠隔監視が可. テストに合格できる程度には教育ができていることが担保でき，また利用者が積極的に有効. 能となっていることは重要な要件であったと考えている．. にしないサービスは無効化の状態のままとなるので，不正利用の心配を軽減できている．. 3.3 分散管理が可能な統合認証システム. 3.5 パスワード再発行手続き. 本学では，各構成員の属性によって，その管理の掌握部署が異なっている．学生は学務課，. 全構成員にアカウントを配布すれば，パスワードの再発行要求もそれなりの数で発生する. 教員は総務課，留学生は国際企画課，共同研究者は研究協力課と分散している．どのような. ことは避けられない．組織によっては，パスワードの再発行に対して課金するといった対応. 4. c 2010 Information Processing Society of Japan.
(5) Vol.2010-IOT-10 No.4 2010/7/16. 情報処理学会研究報告 IPSJ SIG Technical Report. できる．現時点では，パスワード変更，利用サービス登録，Web メール，Moodle (e-Learning システム)，情報コンセント利用者認証については，Shibboleth 対応ができている．. 3.7 統合電子メールシステム 電子メールシステムには，DEEPSoft 社の DEEPMail を採用している．DEEPMail は，. Linux, FreeBSD, Solaris などの UNIX 系 OS 上で動作するアプリケーションであり，今回 のような仮想化環境に導入することに都合が良い．これにより，IMAP4，POP3，WebMail のいずれでもメールボックスにアクセスできることや，SPAMBlock や AntiVirus システ ム (Sophos 社 Pure Message) との連携もはかれている．IMAP4, POP3, SMTP, WebMail は，すべて独立した SSL 証明書による通信路暗号化を施している．SSL 処理は AX2200 に オフロードし，また，証明書は，NII の証明書自動発行検証プロジェクト10) のものを利用さ せて戴いている．さらに，SPAMBlock に関しては，利用者によって有効にするまでは機能 しないように初期設定をすることで，利用者が明示的に判断できる余地を盛り込んでいる．. 4. 現在の運用状況と考察 4.1 消 費 電 力 仮想化計算機システムを採用する理由として，システムの負荷を集約して機器数を減らす ことから消費電力の低減できることが挙げられている．今回のシステムでも，以前のシステ ムでは 35 台のサーバ計算機があったが，14 台のサーバ計算機?1 に台数を集約することがで. 図 3 利用者認証ポータルの例. きており，設置面積もラック 6 個分から 4 個分に減少している． も取られているが，金銭のやりとりは，やはり国立大学法人になったとは言えハードルが. 表 2 は，前システム (System7) と現システム (System8) で，分電盤のブレーカ付近に AC. 高い．. クランプメータを挿入し，電流を測定した結果である．電流値は変動があるが，目視で概ね. そこで，教育的な観点を重視し，パスワード再発行手続きに際して，再発行の理由に加え. 中央値を記録した．端末 PC は，ログオン待ち状態を平常時，ブート時のピーク電流を最大. て再発防止策を記述させることで，安易に再発行することに頼ることなく，本人に自覚を促. として記録している．. すように工夫している．再発行を繰り返した場合は，センター教員による直接指導なども規. 消費電流を単純に電力と考えれば，サーバに関しては約 22%の増大，ということになる．. 定している．. しかしながら，今回のシステムではネットワークブートサーバ，Web メールシステム，仮. 3.6 Shibboleth SSO. 想サーバシステムなどが増強されていることや，すべてのサービスに付いて，複数のサーバ. 9). Shibboleth とは，Internet2 で開発されている，認証フェデレーション技術である．Shib-. インスタンスを稼動させているため，単純な比較はできない．もし以前のシステムで同様の. boleth は，Identity Provider(IdP) と Service Provider(SP) から構成され，IdP で認証さ. 冗長性 (二重化) を提供するとすれば，35 台のうち約 20 台分の機器が必要になると考えら. れた利用者は，IdP から属性情報を入手することができ，その後 SP にアクセスした際に，. れ，単純な消費電流の比較では約 1.6 倍となり，機能に対しては省電力化がはかれていると. その属性情報を元に認可が行える． この技術により，認証作業を IdP に一元化することが可能となり，Single Sign On が実現. ?1 1 台はコンソール処理専用，1 台は外部バックアップ装置である．. 5. c 2010 Information Processing Society of Japan.
(6) Vol.2010-IOT-10 No.4 2010/7/16. 情報処理学会研究報告 IPSJ SIG Technical Report 表 2 前システムと現システムの電力消費量比較 サーバ 端末 PC+モニタ (全ラック合計値) 平常時 / 最大 システム. System7 System8. 69.2 A 84.2 A. ライアント PC を統一し，ネットワークブートで稼動させること，さらに統合認証システム により認証情報の統一化を実現したことなどによる運用コストの削減に注力した． 今後，システムの継続的な運用を続け，発生した問題点を検討・解決し，安定したシステ. 0.8 A / 1.5 A (x 165 台) 0.8 A / 1.1 A (x 216 台). ムに向けて改善を続けていく必要があると考えている．. 参. も考えられなくはない．. 考. 文. 献. 1) 桝田 秀夫, 黒江 康明, 若杉 耕一郎: 京都工芸繊維大学における情報教育システムにつ いて, 平成 18 年度情報教育研究集会, pp.537-540 (2006). 2) 岡田 哲治, 桝田 秀夫: Postfix を使った簡易 spam メール対策, 第 20 回情報処理セン ター等担当者技術研究会 (2008). 3) 桝田 秀夫, 小川 剛史, 町田 貴史, 中澤 篤志, 清川 清, 竹村 治雄 : Diskless Linux を用い た情報教育システムの開発とその評価, 情報処理学会論文誌, Vol.49 No.3 pp.1239-1248 (2008). 4) 桝田 秀夫, 村田 和義, 渋谷 雄: 京都工芸繊維大学における 10Gbps ネットワークイン フラの導入について, 情報処理学会 IOT 研究会, IOT6-4 (2009). 5) 桝田 秀夫, 村田 和義, 渋谷 雄: 京都工芸繊維大学における Moodle パイロットシステ ムについて, 平成 20 年度情報教育研究集会, pp.307-310 (2008). 6) Novell : SUSE Linux Enterprise Server, http://www.novell.com/ja-jp/products/server/. 7) Citrix: Citrix Provisioning Server (PVS), http://www.citrix.co.jp/products/cpros/. 8) CO-CONV: ReadCache システム, http://www.co-conv.jp/product/readcache/. 9) Shibboleth, http://shibboleth.internet2.edu/. 10) UPKI イニシアティブ: UPKI オープンドメイン証明書自動発行検証プロジェクト, https://upki-portal.nii.ac.jp/docs/odcert. 11) UPKI イニシアティブ: 学術認証フェデレーション, https://upki-portal.nii.ac.jp/docs/fed.. 4.2 起 動 時 間 今回のシステムでは，端末パソコンをネットワークブートで運用している．仮想化計算機 システムは I/O 性能が低下すると言われているため，当初はブートサーバは非仮想化環境 で稼動させることも検討していた．しかし，実際には仮想化環境のブートサーバであって も，端末パソコンの起動時間は POST (Power On Self Test) を含めても概ね 2 分程度で あり，70 台同時起動だとしても 2 分半程度で起動する．これは，ReadCache などのブート サーバの負荷軽減の為のシステムを導入したこともあるが，SAN ストレージに比較的小さ な容量の HDD を配し，さらに RAID1+0 構成とすることで，ランダムアクセス時の実効 性能に配慮したことと，仮想化ソフトウェア自体の改善が行われていることなどが挙げられ ると考えられる．. 4.3 利用者属性の整理 3.3 節で述べた通り，今回の統合認証システムは，人の情報を管理している”発生源”での 入力・更新を想定して構築したが，現在のところ，本システムがすべての情報のマスター データになるところまでは進め切れておらず，あくまでも各掌握部署が持っている情報を変 換して投入する，という運用となっている．また，事務の作業手順上の問題もあり，どうし てもデータの更新遅れが発生してしまうが，現在，事務の業務改善と共に検討しつつある． また，今回のシステムでは，まずは学内 Web サービスの SSO を想定して Shibboleth. IdP を構築した．Shibboleth を採用したことにより，UPKI の学術認証フェデレーション (Gakunin)11) への参加が期待される．しかしながら，当初の IdP の構築方法の事情により 現時点ではすぐには参加できない状況にある．この Gakunin への参加に向けて，利用者属 性の整理などを進めることが現在の課題である．. 5. お わ り に 本稿では，本学の電子計算機システムの更新にあたっての，システムの設計方針や構成に ついて述べ，現状について報告した．サーバシステムを仮想化環境で動作させることや，ク. 6. c 2010 Information Processing Society of Japan.
(7)
図
関連したドキュメント
東京工業大学
東京工業大学
情報理工学研究科 情報・通信工学専攻. 2012/7/12
関東総合通信局 東京電機大学 工学部電気電子工学科 電気通信システム 昭和６２年３月以降
東北大学大学院医学系研究科の運動学分野門間陽樹講師、早稲田大学の川上
学識経験者 小玉 祐一郎 神戸芸術工科大学 教授 学識経験者 小玉 祐 郎 神戸芸術工科大学 教授. 東京都
講師：首都大学東京 システムデザイン学部 知能機械システムコース 准教授 三好 洋美先生 芝浦工業大学 システム理工学部 生命科学科 助教 中村
東京大学大学院 工学系研究科 建築学専攻 教授 赤司泰義 委員 早稲田大学 政治経済学術院 教授 有村俊秀 委員.. 公益財団法人
